DPIA — Valutazione Impatto (art. 35)

Art. 35 — DPIA

Valutazione impatto

• Data Protection

Obbligatoria

• Trattamenti rischiosi

Prima del trattamento

• Preventiva

Quando obbligatoria

Art. 35.3

• Tre casi

Lista Garante nazionale

• Integrativa

Casi art. 35.3

a) Valutazione sistematica

• Aspetti personali
• Profilazione
• Effetti legali/significativi

b) Dati particolari o giudiziari

• Su larga scala

c) Monitoraggio sistematico

• Zona accessibile pubblico
• Larga scala

Lista Garante italiano

Integrativa

• Specifica

Esempi

• Biometrici
• IoT
• Whistleblowing
• Geolocalizzazione

Trattamenti larga scala

Criteri

• Numero interessati
• Volume dati
• Durata
• Estensione geografica

Profilazione

Trattamento automatizzato

• Analisi

Effetti significativi

• Selezione

Monitoraggio sistematico

Video, geolocalizzazione

• Continuo

Aree pubbliche

Nuove tecnologie

IoT, AI, biometria

• DPIA spesso

Consultazione DPO

Obbligatoria

• Art. 35.2

Pareri tecnici

Contenuto DPIA (art. 35.7)

Descrizione sistematica

• Operazioni trattamento

Finalità

• Necessità proporzionalità

Valutazione rischi

• Interessati

Misure mitigazione

• Pianificate

Metodologie

CNIL

• Framework francese

EDPB

• Linee guida

Garante

• Modelli

Passi DPIA

1. Descrizione

2. Necessità/proporzionalità

3. Identificazione rischi

4. Valutazione rischi

5. Misure mitigazione

6. Conclusioni

Descrizione

Contesto

• Operativo

Dati

• Categorie

Finalità

• Specifiche

Necessità

Alternativa

• Meno invasiva?

Giustificazione

• Richiesta

Proporzionalità

Mezzi vs fini

• Equilibrio

Eccedenza vietata

Rischi

Per interessati

• Non per organizzazione

Diritti, libertà

Valutazione rischi — matrice

Probabilità

• Bassa, media, alta

Impatto

• Basso, medio, alto

Combinazione

Rischi tipici

Perdita controllo

• Dati

Discriminazione

Furto identità

Danno reputazione

Vincoli libertà

Misure mitigazione

Tecniche

• Pseudonimizzazione, crittografia

Organizzative

• Accessi, formazione

Consultazione interessati

Facoltativa

• Art. 35.9

Se fattibile

• Consigliata

Consultazione preventiva Garante

Obbligatoria se

• Rischio elevato non mitigato

Art. 36

Garante tempistica

8 settimane

• Pareri

Prorogabile

• 6 settimane extra

Revisione DPIA

Aggiornamento

• Se cambiamenti

Art. 35.11

Documentazione

Conservata

• Aggiornata

Parte

• Accountability

Ruolo DPO

Consulente

• DPIA

Valida

• Risultati

Team DPIA

Multidisciplinare

• Legal, IT, business

Formato

• Specifico

Pubblicazione DPIA

Non obbligatoria

• Buona pratica

Trasparenza

Sanzioni

Omessa DPIA

• Art. 83.4
• Fino 10 milioni o 2% fatturato

Garante italiano — sanzioni

Casi

• Omissione

Sanzioni milioni €

Esempi DPIA

Videosorveglianza estesa

Riconoscimento facciale

App geolocalizzazione

Profilazione utenti

Dati biometrici

Dati genetici

Settore pubblico

Spesso obbligo

• PA: molti trattamenti

ANPR, INPS, fiscale

Sanità

DPIA frequenti

• Dati salute
• Ricerca

Scuole

Registri elettronici

• DPIA

Piattaforme DAD

Lavoro

Monitoraggio

• DPIA

Cookie analitici

• Se diffusi

Whistleblowing

DPIA obbligatoria

• D.lgs. 24/2023

Caso tipico

Videosorveglianza urbana

DPIA comunale

• Obbligo PA

Dettagliata

Body-cam

DPIA consigliata

• Quasi obbligatoria

Dipende contesto

Templates

Garante fornisce

• Italiano

CNIL

• Software PIA

PIA software CNIL

Gratuito

• Open source

Usabile

Altri tool

Commerciali

• Vari

Automazione

Integrazione con risk

Enterprise Risk Management

• Complementare

Audit DPIA

Interni

• Regolari

Consolidamento

Garante ispezioni

DPIA richiesta

• Primo documento

Validità verifica

Polizia Locale

Videosorveglianza obbligatoria

• DPIA

Body-cam

• Consigliata

ANPR: sistema vasto

Nuovi sistemi

Prima acquisizione

• DPIA preventiva

Decisione informata

Rapporti con 231

DPIA

• Componente risk

Parte compliance

AI e DPIA

AI Act 2024

• Ulteriori obblighi

Valutazioni sistemi

High-risk AI

DPIA + AI assessment

• Combinati

Complessità

Riforme

Templates aggiornati

• Continuo

Nuovi casi

Giurisprudenza Garante

Casi

• DPIA mancanti

Sanzioni

Conclusioni

Strumento centrale

• Rischio elevato

Per DPO

• Competenza

Per organizzazioni

• Responsabilità

Per interessati

• Tutela rafforzata